サントリーの公式発表で確認できたこと
サントリーグループは2026年11月2日、「外部クラウドサービスへの不正アクセスによる個人情報漏えいに関するお詫び」を公表しました。公式発表によると、グループが利用する外部クラウドサービスで第三者による不正アクセスが確認され、第三者がファイルをダウンロードしていました。その一部に個人情報が含まれていたことも確認されています。
会社は不正アクセスを遮断し、被害拡大を防ぐために必要な対策を講じていると説明しました。11月2日には個人情報保護委員会へ速報を報告し、対象者への個別連絡を開始しています。発表時点では、漏えいした個人情報が不正に利用された事実は確認していないとしています。
「漏えいを確認」と「不正利用の事実は確認していない」は、意味が異なります。
公式発表は、ファイルとその一部に含まれる個人情報について漏えいを確認したとしています。一方、「不正利用がなかった」と断定したものではなく、発表時点で不正利用の事実を確認していないという説明です。調査は継続中であり、新たに公表すべき事実が判明した場合は知らせるとしています。
発覚から公表までの時系列
公式発表に記載された経緯を、3段階に整理します。
| 日付 | 公表された対応 |
|---|---|
| 2026年10月28日 | 外部クラウドサービスで異常を検知。不正アクセスを遮断して調査を始め、漏えいしたファイル名を特定 |
| 2026年10月29日 | 漏えいしたファイルの一部に個人情報が含まれることを確認 |
| 2026年11月2日 | 個人情報保護委員会へ速報を報告し、対象者への個別連絡を開始 |
10月28日の異常検知から遮断、ファイル名の特定、個人情報の確認、関係機関への報告と連絡開始までが示されています。
漏えいが確認された情報
公式発表で第三者への漏えいが確認された個人情報は、次の7区分です。
| 対象 | 公表された情報項目と人数 |
|---|---|
| サントリーグループ従業員、パートナー企業等の従業員 | 氏名・メールアドレス：約90,000名 |
| 企業活動体験プログラム「マル・デ・シャイン」の2023年末時点の登録者 | メールアドレス：7,323名 |
| サントリーホールディングスの2026年新卒採用ビジネス部門オープン選考の応募者 | 応募者マイページ登録情報等（氏名・メールアドレス・電話番号等）：7,173名 |
| サントリービバレッジソリューションの社用携帯電話2台の登録者 | グループ・取引先従業員等の氏名・電話番号：1,097名 |
| モンテ物産の従業員、パートナー企業の従業員 | 氏名・メールアドレス・電話番号：324名 |
| 井筒まい泉の宅配利用者と配送した従業員 | 氏名・届け先の位置情報：96名 |
| サントリーの取引先従業員 | 氏名・役職：25名 |
上記にはクレジットカードなどの決済情報は含まれていないと公表されています。各区分の同一人物の重複有無は発表に記載がないため、表の人数を足して「被害者の実人数」とは扱いません。
対象者がまず確認したいこと
個別連絡を受けた人は、連絡内容と公式発表を照合します。氏名、メールアドレス、電話番号、役職、応募情報などは、それだけで直ちに金銭被害を意味するものではありません。一方、会社や関係者を知る材料として、もっともらしい連絡を作るために使われる可能性は考えておく必要があります。
これは特定の不正利用が起きたという断定ではなく、自分の見方です。差出人名だけで信用せず、メールやSMSのリンクから個人情報や認証情報を入力しないこと、請求や本人確認の依頼は別の公式窓口で確かめることが現実的です。サントリーの発表には、本件専用の問い合わせフォームと電話窓口が記載されています。連絡先は転載された画像や第三者の投稿ではなく、公式ページで確認します。
外部クラウドを使う企業が点検したい5項目
今回の発表だけでは侵入原因を特定できません。以下はサントリーの原因分析ではなく、IPAの注意喚起で示された内容をもとにした一般的な点検です。
1. 利用中の外部サービスを一覧にする
部署単位で契約したクラウド、ファイル共有、顧客管理、採用、経費精算などを一覧にします。サービス名だけでなく、管理者、利用部門、保管データ、契約終了時の削除方法まで結び付けます。IPAは、自組織が利用している外部サービスについて、認証、アカウント、API連携、ログ、追加できる対策の見直しを挙げています。
2. 管理者と利用者のアカウントを棚卸しする
退職者、異動者、委託終了先のアカウントが残っていないか、必要以上の権限がないかを確認します。多要素認証を利用できる場合は、対象となる管理者と利用者を明確にします。共有アカウントがあると、操作した人をログからたどりにくくなります。
3. ログの取得内容と保持期間を確認する
ログイン成功・失敗、ファイル閲覧・ダウンロード、権限変更、API利用など、契約サービスで何を記録できるかを確認します。IPAは、ログの取得内容と保持期間の見直しを挙げています。契約プランによって保存期間や出力可否が異なる場合があるため、実際の管理画面と契約条件で確かめます。
4. 保有データを減らせないか検討する
IPAは、データ保有の是非、保管場所、アクセスログ、暗号化の見直しを挙げています。業務上の保存期限を過ぎたデータ、用途が終わった名簿、同じ情報の複製がないかを確認します。保存する必要があるデータは、アクセスできる人と用途を限定します。
5. 異常時の連絡と遮断の手順を決める
異常を誰が受け、誰がサービス提供者へ連絡し、どの条件でアカウント停止や接続遮断を判断するかを決めます。個人情報を扱う場合は、社内の法務・個人情報保護担当、経営者、委託先との連絡経路も確認します。実際の事故では事実が一度にそろわないため、確認済み・未確認・推測を分けた時系列を残します。
「クラウドだから安全」「クラウドだから危険」と決めない
外部クラウドの利用だけを原因とみなすことはできません。IPAの注意喚起は、外部公開アプリケーションやサービスの侵害、アカウント侵害が起点となっていることがうかがえるとする一方、特定の製品やサービスの脆弱性を狙った攻撃とは断定していません。
自分の見方では、重要なのはクラウドか自社サーバーかの二択ではなく、どのサービスに何を置き、誰がアクセスでき、どのログを残し、異常時に止められるかを把握していることです。自社サイトについて同じ観点を確認する場合は、既存記事「国内で相次ぐ不正アクセス｜政府機関の注意喚起から確認したいこと」も参照してください。
よくある質問
Q1. 漏えいした人数は合計で何人ですか？
Q2. クレジットカード情報も漏えいしましたか？
Q3. 侵入原因は脆弱性ですか？
自社の外部公開サイトやアカウント、ログの点検範囲を整理したい場合は、シンクトラストのセキュリティ診断・無料見積もり相談からご相談ください。
